- 主页
- /
- 文章
感谢您的反馈。
在此文章中
反馈？在 2026 年 10 月 eMudhra 证书颁发机构 (CA) 安全事件之后，思科正在取消对用于验证安全 SIP 连接的某些根 CA 的信任。计划于2026年11月2日开始对受影响的 Webex Meetings SIP 集成的执法。推出可能会分阶段进行。计划在 11 月 2 日之前完成更改。证书链依赖于不信任机构的客户必须更换受影响的证书或链。否则，当对该连接强制执行更新的信任策略时，受影响的安全 SIP 连接将失败 TLS 身份验证。
什么可能会受到影响
集成
-
Webex Meetings边缘音频：当执法人员到达受影响的企业 SIP 连接时，会议拨入和拨出将停止工作。
-
协作会议室 (CMR)：当执法到达这些连接时，通过受影响的安全 SIP 连接加入的基于 SIP 的视频设备将失败。
-
客户管理的基础设施可能包括思科 CUBE、Expressway-E 和其他会话 边界控制器 (SBC)。 审查主系统和冗余系统。
这些更改针对的是使用受影响证书链的 SIP 集成；其他会议 访问方法不依赖于相同的客户管理的 SIP 证书路径。
证书颁发机构
检查是否存在依赖于以下任何权限的证书链：
-
emSign 根 TLS CA-G3
-
emSign ECC 根目录 AC-3G
-
emSign Root CS CA-G3
-
AAA 证书服务（科摩多 AAA 服务根目录）
AAA 证书服务没有受到损害，但它交叉签名影响了 eMudhra 中间体，并包含在本安全响应中。 尽管Sectigo客户证书本身并未遭泄露，但一些Sectigo颁发的证书 可能使用AAA交叉签名的认证路径。
此次不信任变更中不包括 emSign 根 CA-G1。 不要仅仅因为 证书使用 G1 就替换或删除证书。
检查并替换受影响的证书或链
| 1 |
确定用于受影响的 Edge 音频或基于 SIP 的会议集成的 CUBE、Expressway-E 或 SBC。 记录实际的主机名和配置的 SIP TLS 端口。 然后，检查 安装在该系统上的 TLS 身份证书以及任何随附的中间 CA 证书。 在 Expressway-E 上，可以在 服务器证书下查看已安装的服务器证书。 对于 CUBE 和其他 SBC，请使用适用的供应商证书 检查程序。 对备份和冗余系统重复此操作。 |
| 2 |
在安装了 OpenSSL 且可通过网络访问 SIP TLS 侦听器的计算机 上运行相关示例：
将示例主机名和端口替换为实际的 SIP TLS 端点；端口可能 因部署而异。 如果入站 TLS 访问受到限制，请从 授权的管理系统运行检查。 在 Expressway-E 上，与 Webex 一起使用的 SIP TLS 端口可能需要客户端证书。 然后，该命令可能会以错误结束，但证书链仍会显示。 查看证书链条目，包括主题（s:）和颁发者（i:）。 查找四个受影响 的 CA 名称中的任何一个，包括 AAA 证书服务颁发的 UserTrust RSA 证书颁发机构证书。 受影响的交叉签名链条目示例：
|
| 3 |
解释调查结果：
|
| 4 |
请联系您的证书提供商或经销商，获取以上述未列出的根结尾的 替代证书或替代证书链。 要求提供商 确认替代链是否适用于 Webex SIP 集成。
再次检查已安装的链条，以确认它不再依赖于不信任的 机构。
|
| 5 |
验证会议连接：
如果证书或 SIP 连接问题仍然存在，请联系您的思科合作伙伴或 Cisco Technical Assistance Center (TAC)。 提供您的 Webex 组织 ID、受 影响的服务、受影响的系统和 SIP 主机名、证书链详细信息 以及任何 TLS 或 SIP 错误消息。 不要共享私钥。 |
相关信息
有关更多信息，请参阅以下内容：
